Từ tuần này, chúng tôi sẽ liên hệ với các nhà nghiên cứu bảo mật hàng đầu để đặt một số câu hỏi quan trọng và chia sẻ quan điểm của họ ở đây. Tuần này, tôi đã liên hệ với @gowtham_ponnana, một Nhà nghiên cứu bảo mật cấp cao, người từng dẫn dắt các đội bảo mật và từng giữ chức Trưởng bộ phận Dịch vụ Bảo mật cho một CEX, để hỏi: Điều gì mà các giao thức nên làm sau khi kiểm toán nhưng hầu hết các đội vẫn bỏ qua? Đây là những gì anh ấy chia sẻ: “Vấn đề phổ biến và lặp lại nhất mà các đội thường làm là: họ ngay lập tức triển khai lên sản xuất. Nhưng đây là điều tôi luôn nói với đội của mình hoặc khách hàng của tôi – Sau khi kiểm toán, hãy ngồi lại và trao đổi với các nhà nghiên cứu về bất kỳ triển khai hoặc ý tưởng cụ thể nào. Hầu hết các nhà nghiên cứu bảo mật đều sẵn lòng giúp đỡ. Quan trọng hơn, hãy để họ xem các script triển khai (hoặc tốt hơn nữa, hãy yêu cầu họ viết chúng) và theo dõi sát sao cho đến khi giao thức được triển khai chính thức. Nhiều giao thức đã bỏ qua điều này. Họ hoàn toàn tránh nói chuyện với các nhà nghiên cứu sau khi kiểm toán, trong khi những vấn đề về triển khai lại rất quan trọng. Đối với các Nhà nghiên cứu – Hãy kiểm tra xem mã sản xuất có hoàn toàn trùng khớp với mã bạn đã kiểm toán hay không. Tất nhiên còn nhiều vấn đề OPSEC khác, nhưng điều chính là tôi yêu cầu họ thiết lập chương trình bug bounty (ít nhất là tự chủ). Điều này giúp xây dựng danh tiếng tốt và cải thiện bảo mật toàn diện.” Cảm ơn Gowtham vì đã chia sẻ những nhận định của bạn. Một vài ý kiến cá nhân của tôi: Theo tôi, Gowtham đã đề cập đầy đủ mọi thứ. Ngoài ra, tôi cũng khuyên khách hàng của mình sử dụng các ví và thiết bị riêng biệt, chỉ dùng để ký giao dịch và không làm việc khác. Tôi cũng khuyến nghị làm việc trong môi trường container hóa và tuyệt đối không trộn lẫn công việc với môi trường cá nhân.